LONDON (IT BOLTWISE) – Eine Auswertung zeigt: INC entwickelt sich 2026 von einer noch jungen RaaS-Gruppe zu einem der aktivsten Akteure im Ransomware-Ökosystem. Seit August 2023 sollen über 830 Opfer aufgelistet sein, und der Großteil betrifft Organisationen in den USA. Besonders auffällig ist die technische Modernisierung: Verschlüssungs-Komponenten wurden in Rust neu geschrieben, und die Angriffe zielen zunehmend auf aktuelle Backup-Setups. Der Report ordnet INC zudem in eine breitere Konkurrenzlandschaft ein, in der Gruppen nach dem Ausfall anderer Anbieter schnell wachsen können.
Ransomware-Betrieb wirkt für viele Unternehmen wie ein Zyklus aus bekannten Mustern: erst der anfängliche Zugriff, dann Datendiebstahl, schließlich Verschlüsselung und die klassische Erpressung. Was sich bei INC aber gerade stärker verdichtet, ist die Kombination aus Skalierung und kontinuierlicher Engineering-Disziplin. Laut einer aktuellen Branchenanalyse hat die Gruppe seit August 2023 mindestens 830 Opfer adressiert, mit einem Schwerpunkt auf US-Organisationen, die mehr als 65% der gelisteten Fälle ausmachen. Gleichzeitig betont die Quelle den strukturellen Wandel: Als andere große Akteure wie LockBit ausfielen und BlackCat abgeschaltet wurde, öffneten sich Lücken, in die INC-Affiliates migrieren konnten.
Technisch ist INC dabei nicht nur „wiederverwendend“, sondern gezielt modernisierend. Besonders relevant für Verteidiger ist, dass die Windows- und Linux/ESXi-Verschlüsselungsbausteine neu in Rust implementiert wurden. Rust kann Entwicklungs- und Wartungsprozesse vereinfachen, weil Sprach- und Tooling-Grenzen zwischen Zielplattformen sinken. Zudem wird in der Analyse hervorgehoben, dass die Neuschreibung den Aufwand für Reverse Engineering erhöhen kann—nicht als alleinigen Zaubertrick, aber als Baustein, um schnell Varianten auszurollen. Ergänzend wird ein aktualisierter Credential Dumper beschrieben, der gezielt neuere Veeam-Backup-Deployments angreifen soll, die salted DPAPI zur Absicherung der Anmeldeinformationen einsetzen.
Historisch betrachtet passt das in eine Entwicklungslinie, die RaaS seit Jahren prägt: Wiederkehrende, leicht koordinierbare Angriffsketten werden über Affiliate-Programme in einer Art Fließbandproduktion betrieben. In der Praxis heißt das, dass Gruppen nicht zwingend extrem „neue“ Zero-Day-Mechanismen benötigen, um erfolgreich zu sein. INC folgt vielmehr bewährten Techniken, die in vielen Incidents auch deshalb häufig greifen, weil sie in der operativen Härtung vieler Firmen noch immer Lücken haben. Auf Einstiegsebene werden unter anderem Spear-Phishing, gekaufte Zugangsdaten von Initial Access Brokern sowie die Ausnutzung öffentlich erreichbarer Systeme genannt—etwa in Konstellationen rund um Citrix NetScaler (CVE-2023-3519, CVE-2025-5777), Fortinet EMS (CVE-2023-48788) und SimpleHelp (CVE-2024-57727).
Der nächste Hebel liegt in der Verknüpfung von Credential-Diebstahl, lateraler Bewegung und dem Umgehen lokaler Schutzmechanismen. Die beschriebenen Schritte nennen erst das Extrahieren sensibler Anmeldedaten aus der kompromittierten Umgebung und anschließend das Nutzen von Living-off-the-Land-Binaries (LOLBins), zum Beispiel RDP und PsExec, um sich systematisch durch Netzwerke zu bewegen. In der Analyse taucht außerdem BYOVD auf—Bring your own vulnerable drive—mit spezifischen Treibern wie filwfp.sys, filnk.sys und fildds.sys, um Systemschutz zu beeinträchtigen. Für Command-and-Control werden dann Tools wie Cobalt Strike, AnyDesk, ScreenConnect und TeamViewer genannt, während Exfiltration über Rclone abläuft, nachdem Daten als passwortgeschützte Archive vorbereitet wurden.
Im Marktvergleich wird die Dynamik besonders deutlich. Experten ordnen INC 2026 als viertprägendste Ransomware-Gruppe ein, direkt nach Qilin (338), Akira (197) und The Gentlemen (192). In dem Zeitraum sollen über 120 Vorfälle berichtet worden sein. Entscheidend ist dabei weniger der Rang allein, sondern das Muster: INC konnte offenbar vom „Opportunitätsfenster“ profitieren, das sich nach der Störung anderer Familien öffnete. Die Quelle verweist zudem auf den Handel mit Windows- und Linux-Varianten im Untergrund im Mai 2024, der zur Entstehung verwandter Familien wie Lynx und Sinobi geführt haben soll—mit „significant code overlap“, also relevanten Code-Überschneidungen. Für Unternehmen bedeutet das: Selbst scheinbar neue Namen können technisch auf sehr ähnlichen Fundamenten beruhen, sodass vorhandene Schutzlogiken wiederholt greifen müssen.
Für die Zukunft ist vor allem die Kombination aus wachsender Toolkit-Reife und gezielter Branchenansprache relevant. Laut Analyse stärkt INC seinen Ransomware-Betrieb laufend durch Rust-basierte Payload-Updates und kontinuierliche Verbesserungen der Werkzeuge, während der Fokus auf Branchen wie Gesundheitswesen, Rechts- und Professional-Services, Fertigung sowie Bau gelegt wird. Gerade dort ist Ausfallzeit teuer und Versorgungs- bzw. Lieferkettenabhängigkeit hoch—dadurch steigt nicht nur das Risiko direkter Schäden, sondern auch die Wahrscheinlichkeit von Kollateralexposition über Dienstleister, Systemintegratoren und nachgelagerte Partner. Ein weiterer technischer Hinweis betrifft den ESXi-Modus: Wird der Encryptor mit einem „–esxi“-Argument gestartet, versucht er, virtuelle Maschinen herunterzufahren. Das unterstreicht die Notwendigkeit, nicht nur Endpoints, sondern auch Virtualisierungsumgebungen inklusive Backup- und Credential-Flows in die Abwehrplanung einzubeziehen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "INC-Ransomware als RaaS: Rust-Payload, 830 Opfer und neue Ableger" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "INC-Ransomware als RaaS: Rust-Payload, 830 Opfer und neue Ableger" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »INC-Ransomware als RaaS: Rust-Payload, 830 Opfer und neue Ableger« bei Google Deutschland suchen, bei Bing oder Google News!